Account Takeover

🔍 Contexte Le 11 août 2026, Sansec publie une analyse du bulletin de sécurité APSB26-92 émis par Adobe pour Adobe Commerce et Magento Open Source. Le correctif est distribué sous forme de fichiers de patch isolés, sans nouvelle version de sécurité ni nouveaux packages Composer. 🚨 Vulnérabilités corrigées Le bulletin corrige sept vulnérabilités, dont cinq classées Critiques : CVE-2026-71362 : prise de contrôle de compte client non authentifiée, CVSS 9.1 Autres vulnérabilités : stored cross-site scripting (XSS) et failles d’autorisation 🎯 Détail de CVE-2026-71362 Sansec a analysé le patch et confirme que la vulnérabilité permet à un attaquant de basculer une session client vers un autre compte client. L’exploitation : ...

🔍 Contexte Publié le 6 août 2026 par Gareth Heyes (PortSwigger Research), cet article de recherche technique présente une série de techniques d’attaque exploitant le rendu CSS dans les clients webmail. Les cibles étudiées incluent Yahoo Mail, AOL Mail, Fastmail, ProtonMail, Gmail et Outlook. 🎯 Techniques d’attaque principales Abus des éléments HTML/CSS autorisés Détournement de balises <label> : les attributs for permettent de déclencher des actions UI arbitraires (ex: épingler un message dans Outlook, ouvrir le ruban). Vulnérabilité non corrigée par Microsoft. Injection de prompt indirect via CSS : utilisation des pseudo-éléments :before/:after pour masquer du texte aux victimes humaines tout en le rendant visible aux LLM (navigateur IA OpenAI Atlas), permettant l’exfiltration du nom de la victime via des onglets ouverts automatiquement. Exfiltration de tokens par CSS Race condition lors du collage dans un brouillon (AOL Mail, Yahoo Mail) : du HTML/CSS malveillant dans le presse-papiers est injecté sans sanitization correcte sous Firefox. Vol de token Medium (12 caractères hex) : via des sélecteurs d’attributs CSS imbriqués (^=, *=, $=) et du CSS nesting pour réduire la taille du payload. Technique permettant de reconstituer le token complet côté serveur. Exfiltration sans requêtes externes (CSP strict) : utilisation d’oracles de hauteur de police (@font-face + descent-override), d’animations CSS et de la propriété inset pour forcer un clic sur un lien encodant les digits du token. Contournements de proxy d’image Fastmail : content:url(/\5c/user.fm/...) — le sanitizer croit que l’URL est relative, le navigateur résout vers user.fm. ProtonMail : imbrication de Url( dans un commentaire CSS pour tromper le sanitizer et exposer l’IP de la victime. Gmail : background:image-set(var(--x,'//02.rs')) — le fallback de variable CSS contourne la sanitization. Mutation CSS (Fastmail) Mutation via CSSOM : les noms de keyframes et media queries contenant des escapes hex (\7d\2a) sont décodés par Chrome lors de la lecture CSSOM, produisant des sélecteurs arbitraires (}*{color:red}). Deux bugs corrigés par Fastmail, chacun récompensé par 1000$ de bounty. CSS Gadgets (Outlook) Gadgets CSS : des attributs data-* autorisés par le sanitizer déclenchent une manipulation DOM par une bibliothèque JS tierce, injectant position:fixed hors de la liste blanche. Permet de déface Outlook et de sortir des limites du message. CSS Hotwiring (Fastmail) Technique permettant de forcer un clic sur une action UI spécifique (ex: marquer comme VIP) lorsque la victime clique n’importe où sur la page, via :before/:after avec position:fixed et z-index élevé. Keylogger CSS (Outlook) Keylogger via <select> et sélecteurs CSS (option+option:checked, :has(), :checked) combiné au gadget CSS position:fixed pour spoofier l’écran de connexion Outlook. Keylogger temps réel (Firefox) : exploitation d’un comportement Firefox qui réinitialise le timer du <select> lors d’un déplacement hors écran via animation CSS. Bypass du sanitizer Outlook : injection via @media --narrow-window;/*"*/.xyz{position:fixed} — le sanitizer traite le sélecteur comme faisant partie de la media query. Exfiltration via prompt injection + Gmail bypass (Cowork/Slack) Collaboration avec Pete Hendy : email piégé convainquant l’IA Cowork (connecteur Gmail) de créer un brouillon contenant du CSS exfiltrant un token Slack via le bypass Gmail (image-set(var(...))). 🔮 Attaques futures décrites Keylogger HTML-only (Chrome) : via l’élément <selectedcontent> et images lazy-loaded. Keylogger temps réel Chrome : via l’attribut interestfor (interest invokers) pour chaîner des <select> popovers. 📋 Type d’article Publication de recherche offensive détaillée, présentant des techniques CTI exploitables contre des webmails grand public et des clients IA, avec preuves de concept et code source disponible sur GitHub. ...

🔍 Contexte Article publié le 27 juillet 2026 par le chercheur en sécurité Eaton sur son blog personnel (eaton-works.com). Il documente la découverte et la divulgation responsable de vulnérabilités critiques affectant My Eicher, la plateforme de gestion de flotte et de suivi GPS développée par VE Commercial Vehicles (VECV), coentreprise entre le Groupe Volvo et Eicher Motors, destinée aux clients de véhicules commerciaux en Inde. 🐛 Vulnérabilités découvertes La découverte initiale résulte d’une exploration manuelle des chemins d’API. En remontant le chemin d’un endpoint connu (/cepauthmgr/user/validateMobileNo), le chercheur a accédé à /cepauthmgr/user/, qui a retourné une liste complète d’API internes/admin non documentées et non authentifiées. ...

🔍 Contexte Publié le 28 juillet 2026 par Okta Threat Intelligence (contributeur : Moussa Diallo), cet article présente une analyse approfondie de Work Panel, une console opérateur utilisée par des acteurs malveillants pour conduire des campagnes de vishing (voice phishing) ciblant les clients de plusieurs fournisseurs d’identité, dont Okta, Microsoft 365 et Salesforce. Les données proviennent d’une source sensible ayant fourni un accès direct à la plateforme. 🎯 Description de Work Panel Work Panel est une plateforme multi-tenant de cybercrime-as-a-service (CaaS) conçue pour être vendue à plusieurs opérateurs indépendants. Elle automatise l’intégralité d’une opération de vishing : ...

🔍 Contexte Source : BleepingComputer — publié le 15 juillet 2026. Zoom a émis un avis de sécurité concernant plusieurs vulnérabilités affectant ses produits Windows, dont une de sévérité critique découverte en interne. 🚨 Vulnérabilité critique : CVE-2026-53412 Type : Improper Input Validation Score CVSS : 9.8/10 Impact : prise de contrôle de compte (account takeover) par un utilisateur non authentifié via accès réseau Produits affectés : Zoom Workplace for Windows avant la version 7.0.0 Zoom VDI Client for Windows avant les versions 7.0.10, 6.6.15 et 6.5.18 Zoom Meeting SDK for Windows avant la version 7.0.0 Aucun détail technique n’a été fourni par Zoom dans son bulletin. Aucune exploitation active n’est signalée au moment de la divulgation. ...

📰 Source : BleepingComputer | Date de publication : 24 juin 2026 | Contexte : Condamnation judiciaire liée à l’attaque par credential stuffing contre la plateforme de paris sportifs DraftKings en novembre 2022. 🎯 Faits principaux Nathan Austad (21 ans, Minnesota), opérant sous l’alias « Snoopy », a été condamné à 18 mois de prison après avoir plaidé coupable en décembre 2025 de conspiracy to commit computer intrusion. Il et ses co-conspirateurs ont compromis 60 000 comptes utilisateurs DraftKings via des attaques par credential stuffing exploitant des mots de passe faibles ou réutilisés. ...

🗓️ Contexte Source : TechCrunch, publié le 3 juin 2026. L’article couvre une campagne de piratage de masse ciblant des comptes Instagram, exploitant le chatbot IA de support de Meta déployé en mars 2026. 🎯 Nature de l’attaque La technique est d’une simplicité extrême : les attaquants ont demandé directement au chatbot IA de Meta de lier le compte cible à une adresse email qu’ils contrôlaient, en se présentant faussement comme le propriétaire légitime du compte. Le chatbot a obtempéré sans vérification, permettant ensuite la réinitialisation du mot de passe et la prise de contrôle totale du compte, parfois avec verrouillage de la victime. ...

📰 Source : KrebsOnSecurity | Date : 1er juin 2026 Des hackers se revendiquant pro-iraniens ont découvert et exploité une faille dans le bot d’assistance IA de Meta (Instagram), permettant de réinitialiser le mot de passe de n’importe quel compte sans authentification préalable du propriétaire légitime. 🎯 Comptes ciblés et impact Les comptes Instagram de la Obama White House et du Chief Master Sergeant of the U.S. Space Force ont été brièvement défigurés avec des images et messages pro-iraniens. Des comptes à noms courts (valeur de revente estimée à plus d’un demi-million de dollars) ont également été compromis. ...

🔍 Contexte Publié le 28 mai 2026 par Yair Balilti (Token Security Research Team), cet article détaille une chaîne d’attaque en 5 étapes baptisée Zapocalypse, découverte sur la plateforme d’automatisation Zapier. La recherche a débuté le 10 février 2026 et a été divulguée le 12 février 2026 via HackerOne. Zapier a confirmé la remédiation complète le 5 mars 2026. 🧱 Chaîne d’exploitation Étape 1 — Évasion du sandbox Python : La fonctionnalité “Code by Zapier” exécute du Python arbitraire dans une Lambda AWS (python3.11, us-east-1). L’appel os.system('env') révèle l’environnement Lambda. Le code utilisateur est injecté via exec() dans le même processus que celui ayant détenu les credentials AWS. ...

🗓️ Contexte Article publié le 25 mai 2026 par Denham Sadler sur Information Age (ACS), relatant les révélations faites lors d’une audition du Sénat australien (Senate Estimates) concernant une compromission de comptes WhatsApp au sein du Parlement fédéral australien. 🎯 Incident Le 6 mars 2026, les comptes WhatsApp d’un parlementaire fédéral et de trois membres de son personnel ont été compromis via une campagne de phishing ciblée. Les comptes concernés étaient des comptes personnels, utilisés à la fois sur des appareils personnels et sur des appareils gérés par le Department of Parliamentary Services (DPS). ...